Если история с CrowdStrike – это реализовавшаяся катастрофа в цепочке поставок, то команде JFrog удалось предотвратить атаку, которая потенциально могла бы быть еще более ужасающей. В своей статье команда JFrog Security Research рассказывает, как в одном из публичных репозиториев Docker Hub был обнаружен легаси GitHub токен с админ-правами от репозиториев таких проектов, как python, pypa, psf и pypi. Обладатель данного токена теоретически мог бы скрыть вредоносный код в CPython, который является репозиторием некоторых основных библиотек, составляющих ядро языка программирования Python и скомпилированных из кода на C. Из-за популярности Python, вставка вредоносного кода, который в конечном итоге попадет в дистрибутивы Python, могла бы означать распространение бэкдора на десятки миллионов машин по всему миру.
Токен был найден в бинарном файле
.pyc. Как это произошло?1) Автор добавил авторизационный токен в исходный код.
2) Запустил исходный код (Python-скрипт), который был скомпилирован в бинарный файл
.pyc с авторизационным токеном.3) Удалил авторизационный токен из исходного кода, но не очистил
.pyc.4) Загрузил как очищенный исходный код, так и неочищенный бинарный файл
.pyc в Docker-образ.Какие выводы делают авторы статьи?
- В бинарных файлах тоже могут быть секреты, которые надо искать (отсылка на решение от JFrog).
- Убедитесь, что вы не используете старые GitHub токены (которые были заменены на новые, более безопасные, в 2021 году).
- Предоставляйте доступ к токенам с наименьшими правами.
Отчет об инциденте от самих PyPi можно найти здесь.
#secrets #supplychain